Sikkerhedsbrud - hvad skal du vide?

Her kan du læse om, hvad et brud på persondatasikkerheden er,
hvornår det skal anmeldes til Datatilsynet, og hvem der har pligt
til at anmelde det. Du kan også læse om de pligter, der gælder,
selv om et brud ikke skal anmeldes.

Er du borger, kan du finde råd om, hvad du skal gøre, hvis dine
oplysninger har været omfattet af et sikkerhedsbrud, eller hvis
du ved en fejl har modtaget oplysninger om en anden person.

Hvad er et brud på persondatasikkerheden?

Et brud på persondatasikkerheden er enhver hændelse, der fører til hændelig eller ulovlig tilintetgørelse, hændeligt eller ulovligt tab, hændelig eller ulovlig ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.

Det betyder, at to betingelser skal være opfyldt, før en hændelse kan betragtes som et brud på persondatasikkerheden:

For det første skal der være tale om et brud på sikkerheden, det vil sige en hændelse, der bryder med eller afviger fra den dataansvarliges etablerede sikkerhedsforanstaltninger. Det kan f.eks. være et hackerangreb, hvor en ondsindet aktør lykkes med at komme forbi sikkerhedsforanstaltninger som en firewall eller lignende. Det kan også være en medarbejder, der handler i strid med virksomhedens eller myndighedens retningslinjer og procedurer.

For det andet skal hændelsen føre til en eller flere af følgende konsekvenser i forhold til personoplysninger:

  • Tilintetgørelse: Hvis personoplysninger f.eks. slettes eller på anden måde destrueres, så de ikke længere findes eller ikke længere findes i en form, som den dataansvarlige kan behandle.
  • Tab: Når den dataansvarlige mister kontrollen over eller adgangen til oplysninger, som vedkommende tidligere havde kontrol over eller adgang til. Tabet kan også være midlertidigt, f.eks. hvis adgangen til et it-system, der indeholder personoplysninger, mistes, men senere bliver genoprettet. Der kan også være tale om bortkomne fysiske dokumenter, f.eks. breve.
  • Ændring: Når personoplysninger bliver ændret eller beskadiget, så de f.eks. er ukorrekte eller ufuldstændige. Det kan bl.a. ske i forbindelse med forkert journalisering.
  • Uautoriseret videregivelse og adgang: Når personoplysninger videregives til eller gøres tilgængelige for personer, som ikke er autoriseret til at modtage eller få adgang til oplysningerne.
  • Ulovlig adgang til personoplysninger: Hvis personoplysninger bliver tilgået på en måde, som ikke er tilladt, eksempelvis hvis en hacker skaffer sig adgang til personoplysninger, eller når en medarbejder, som handler i strid med lovgivning eller interne retningslinjer, tilgår personoplysninger, som personen ikke må tilgå, uanset om personen er autoriseret til at tilgå oplysningerne eller ej.

Der vil kun være tale om et brud på persondatassikkerheden i databeskyttelsesretlig forstand, hvis bruddet involverer personoplysninger. En informationssikkerhedshændelse er derfor ikke nødvendigvis et brud på persondatasikkerheden.